CVE-2025-69559: Upload irrestrito de arquivo no Computer Book Store 1.0
A CVE-2025-69559 descreve uma falha de upload de arquivo (CWE-434) em admin_add.php do code-projects Computer Book Store 1.0, com pontuação 9.8 (Crítica) no CVSS 3.1 registrado. O registro não informa versão corrigida e o CVE não consta no CISA KEV. Equipes devem restringir o acesso às funções administrativas e validar uploads até que haja correção oficial.
Visão geral
A CVE-2025-69559 é uma fragilidade de upload de arquivo registrada no code-projects Computer Book Store 1.0, especificamente em admin_add.php. O registro a classifica como CWE-434, Upload Irrestrito de Arquivo com Tipo Perigoso. Fonte: registro na NVD.
Impacto
- O registro informa pontuação base CVSS 3.1 de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
- Pelo vetor, o ataque pode partir da rede, não exige privilégios nem interação do usuário e tem alto impacto em confidencialidade, integridade e disponibilidade.
- Inferência: um upload sem restrições pode permitir que um agente coloque arquivos indesejados no servidor. O registro não descreve as consequências concretas.
Produtos e versões afetadas
- O registro indica como produto afetado o Carmelo Computer Book Store, versão 1.0.
- A descrição menciona code-projects Computer Book Store 1.0. Os nomes de fornecedor e produto divergem entre os campos, então administradores devem confirmar qual software utilizam.
- Não há versão corrigida informada. Isso significa que as fontes consultadas não a forneceram, e não que a correção não exista.
Status de exploração
O CVE não consta no catálogo CISA KEV. Não aparece, nas fontes consultadas, exploração confirmada no mundo real. Uma referência de terceiros está marcada como relacionada a exploit. Seu conteúdo não foi reproduzido aqui, e este portal não publica detalhes de exploração.
Correção e mitigação
- Identifique implantações desta aplicação, principalmente a interface administrativa.
- Limite o acesso às rotas administrativas a redes e contas confiáveis até que haja correção ou orientação oficial.
- Valide uploads no servidor: use lista de extensões permitidas, verifique o conteúdo do arquivo, armazene uploads fora de caminhos executáveis e atribua nomes gerados.
- Remova ou substitua aplicações de demonstração sem manutenção.
Orientações de detecção
- Revise os logs do servidor web em busca de requisições inesperadas a admin_add.php e de entradas estranhas nos diretórios de upload.
- Monitore diretórios de upload e públicos em busca de arquivos de script ou executáveis não esperados.
Limitações das informações disponíveis
- O registro não identifica o parâmetro vulnerável, a lógica exata de upload nem as pré-condições além do vetor CVSS.
- Não há versão corrigida, aviso oficial do fornecedor nem pontuação EPSS no registro.
- Os nomes de fornecedor e produto divergem entre a descrição e o campo de produto afetado.
Perguntas frequentes
A CVE-2025-69559 está sendo explorada ativamente?
O CVE não consta no CISA KEV e não aparece, nas fontes consultadas, exploração confirmada no mundo real. Uma referência de terceiros está marcada como relacionada a exploit, mas isso não confirma exploração.
Existe versão corrigida?
O registro não informa versão corrigida. Isso significa que nenhuma correção foi identificada nas fontes consultadas, então administradores devem verificar a orientação atual do fornecedor ou mantenedor.
O que fazer agora?
Confirme se utilizam esta aplicação, restrinja o acesso às páginas administrativas, valide arquivos enviados no servidor e revise os logs em busca de requisições inesperadas a admin_add.php.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.